说到助记词，有人可能会问了，为什么有些钱包是 12 个单词（比如比特派钱包），另一些则是 24 个单词的助记词呢？是不是单词越多就越安全呢？# R; S2 H* T6 l: i& A6 t
其实，与大部分人的直觉相反，从密码学的角度上讲， 12 单词的安全强度和 24 个单词是一样的， 12 个单词已经足够安全，增加单词数并不能提高安全级别。
虽然按照比特币 BIP32/44/39 规范，从 2048个单词词库中选择 24 个助记词的概率空间 > 2^256，而选择 12 个助记词的概率空间 > 2^128，从概率空间上看起来 24 个助记词的安全强度好像是要高很多，但本文将从密码学的角度给你澄清这一事实，即“12个助记词和24个助记词的密码学安全强度是一样的”。
首先我们需要理解一个很著名的数学理论，叫“生日悖论”（Birthday Paradox）。8 ~9 _+ p; }& Z, R( t( E# e
$ _) h! o# y2 e$ l% U8 }* {
问大家一个问题，假设一个班级里有 23 个人，问这个班里有两个生日相同的人的概率有多大？直觉上，大家可能会觉得概率很低，几乎不可能，一年有 365 天呢，两个人同一天生的概率得是多小啊。但数学往往就是反直觉的，其真实概率要大于 50%，如果是 30 个人的班级，概率则会大于 70%， 60 个人则大于 99% ，也就是几乎肯定有两个人生日相同，你敢信不？, _' e7 @* s& ^$ X) O$ x2 f
这就是著名的“生日悖论”。- z9 E# z3 S& p
生日悖论这一简单的概率理论对于密码学的影响是巨大的，因为基于这一理论产生了一种名为“生日攻击”的密码学攻击手段，基于这一攻击手段，所有的哈希函数（Hash）的密码学安全强度都会降低到其概率空间位数的 1/2，即 2^n 概率空间的密码学安全强度为 2^(n/2)，如果是 2^256，则其安全强度为 2^128。3 l+ J6 P1 J# a) E3 M* V
好了，在进一步讲述生日攻击之前，我们还需做点儿科普，学习几个密码学基本概念：
" h% t8 U- ]8 C% t) f- ^( _
对原像攻击、次原像攻击和碰撞攻击有了基本的理解了之后，您就应该能明白，原像或次原像攻击都很难，因为几乎要遍历整个概率空间，如果算法没有漏洞的话，对于 2^256 的概率空间，您就需要遍历几乎 2^256 次才有希望找到一个原像或者次原像。而对于碰撞攻击来说，您只需要遍历 2^128 次，就能找到一对儿碰撞。
那对于密码学签名的碰撞攻击又该如何进行呢？
我们假设你要对一个消息 m 做密码学签名，攻击者知道 m 是正确的消息，并且准备了一份伪造的消息 m’，毫无疑问，hash(m)hash(m’)，拿着 m’ 是骗不了你的。7 x8 ]3 z0 g0 X/ f! _- f
现在，攻击者准备了大量的稍做修改的 m，又准备了大量的稍做修改的 m’，这里所提到的“稍作修改”并不影响 m 的正确性和 m’ 的伪造性。0 H; h% _& u- C! h) a1 V/ Z
然后，攻击者再从大量的 m 和大量的 m’ 中找到一对儿 hash(m)=hash(m’)，其难度是 2^(n/2)，也就是说，对于 2^256 的概率空间，攻击者需要准备 2^128 份正确消息 m和 2^128 份伪造消息 m’，从中就能找到一对儿碰撞 hash(m)=hash(m’)。8 F) d4 v* M; k7 @3 s ]- e- K7 |
最后，攻击者拿碰撞到的 m 让你做密码学签名，并将 m 替换为 m’，攻击成功。/ F; K: G) R2 z' n
好了，现在大家应该基本上理解了生日悖论和生日攻击的基本原理了，对于密码学货币来说，2^256 的概率空间其密码学安全强度为 2^128，12个单词的助记词的概率空间也是 2^128，其实是足够了的哈，增加助记词的概率空间并不能提高密码学安全强度，对于钱包助记词来说，12个单词和24个单词一样安全的。
附：维基百科上关于生日悖论和生日攻击的说明+ j- a7 [8 r& N5 ]. T, `
https://en.wikipedia.org/wiki/Birthday_problem2 [ D: g0 m: e
https://en.wikipedia.org/wiki/Birthday_attack
